SRXシリーズファイアウォールでのトラフィック処理の概要

フローベースの処理を理解する

パケットは、パケットベースのフィルターといくつかの画面が適用された後、フローベースの処理を受けます。単一フローに対するすべてのフローベースの処理は、単一のサービス処理ユニット(SPU)で発生します。SPUは、セッションに設定されたセキュリティ機能やその他のサービスに従って、フローのパケットを処理します。

図1は、フローベースのトラフィック処理がサービスゲートウェイでどのように行われるかの概念を示しています。

図1:フローベース処理のトラフィックフロー

フローとは、同じ一致基準を満たし、同じ特性を共有する関連パケットのストリームです。Junos OSは、同じフローに属するパケットを同じ方法で処理します。

パケットに適用されるセキュリティポリシー、アプリケーション層ゲートウェイ(ALG)が必要かどうか、パケットの送信元および/または宛先IPアドレスの変換にNATが適用される場合など、パケットの運命を決定する構成設定は、フローの最初のパケットについて評価されます。

NPU は、パケットにフローが存在するかどうかを判断するために、以下の一致基準に基づいて、パケットの情報を既存のセッションの情報と照合しようとします。

• 送信元アドレス

• 宛先アドレス

• 送信元ポート

• 宛先ポート

• プロトコル

• 特定のゾーンと仮想ルーターの一意のセッショントークン番号

• ゾーンとポリシー
• フローとセッション

パケットベース処理について

パケットは、入力インターフェイスのキューから削除されたとき、および出力インターフェイスのキューに追加される前に、パケットベースの処理を受けます。

パケットベースの処理では、ステートレスファイアウォールフィルター、CoS機能、および一部の画面が個別パケットに適用されます。

• パケットがインターフェイスに到着すると、サニティーチェック、パケットベースのフィルター、いくつかのCoS機能、およびいくつかの画面が適用されます。

• パケットがデバイスから出る前に、パケットベースのフィルター、一部の CoS 機能、およびインターフェイスに関連する一部の画面がパケットに適用されます。

フィルターとCoS機能は通常、1つ以上のインターフェイスに関連付けられ、システムを通過できるパケットに影響を与え、必要に応じてパケットに特別なアクションを適用します。

次のトピックでは、トランジットトラフィックに設定および適用できるパケットベースの機能の種類について説明します。

• ステートレスファイアウォールフィルター
• サービスクラス機能
• 画面

フロー処理とセッション管理について

このトピックでは、フローを構成するパケットを処理するためにセッションを設定する方法について説明します。次のトピックで、SPUはSRX320ファイアウォールのデータプレーンスレッドを指します。

最初に、データプレーンスレッドがパケットを取得し、それに対して基本的なサニティーチェックを実行します。次に、ステートレス フィルターと CoS 分類子のパケットを処理し、いくつかの画面を適用します。

ファーストパケット処理について

パケットが既存のフローに属しているかどうかを判断するために、デバイスは以下の 6 つの一致基準に基づいて、パケットの情報を既存のセッションの情報と一致させようとします。

• 送信元アドレス

• 宛先アドレス

• 送信元ポート

• 宛先ポート

• プロトコル

• 特定のゾーンと仮想ルーターからの一意のトークン

SPUは、パケットの既存のセッションがないかセッションテーブルをチェックします。存在するセッションが見つからない場合、SPUはフローのセッションを設定します。セッションに一致するものが見つかった場合、セッションはすでに作成されているため、SPUはパケットに対して高速パス処理を実行します。

セッション作成について

セッションを設定する際、SPUはパケットに対して以下のサービスを実行します。

• 画面

• ルート検索

• ポリシールックアップ

• サービスルックアップ

• NAT(必要な場合)

セッションが設定されると、フローに属するすべてのパケットに使用されます。フローのパケットは、そのセッションのパラメーターに従って処理されます。パケット処理の残りの手順については、「高速パス処理」のステップ1に進みます。すべてのパケットは高速パス処理を受けます。

高速パス処理について

パケットがセッションに一致する場合、Junos OS は次の手順で説明するように高速パス処理を実行します。フローの最初のパケットに対してセッションが設定された後、ファストパス処理も行われます。すべてのパケットは高速パス処理を受けます。

1. SPUは、フローベースのセキュリティ機能をパケットに適用します。

   • 設定された画面が適用されます。

   • TCPチェックが実行されます。

   • 必要に応じて、NAT、ALG、IPsecなどのフローサービスが適用されます。

2. SPUはパケットを転送用に準備し、送信します。

   • ルーティングパケットフィルターが適用されます。

   • トラフィックシェーピングが適用されます。

   • トラフィックの優先順位付けが適用されます。

   • トラフィックスケジューリングが適用されます。

   • パケットが送信されます。

ファーストパケット処理について

図4は、フローの最初のパケットがデバイスに入るまでのパスを示しています。NPUはパケットにセッションが存在しないと判断し、NPUはパケットを分散中央点に送信して分散中央点セッションを設定します。次に、分散された中央点がアプリケーション中央点にメッセージを送信して、SPUを選択してパケットのセッションを設定し、パケットを処理します。次に、分散された中央点がパケットをそのSPUに送信します。SPUはパケットを処理し、デバイスから送信するためにNPUに送信します。(この概要は、パケットへの機能の適用については説明していません。)

図4:最初のパケット処理

フローの最初のパケットがシステムを通過し、そのセッションが確立された後、高速パス処理が行われます。

フロー内の後続のパケットも高速パス処理を受けます。この場合、各パケットがセッションに入り、NPUがセッションテーブルでそのパケットに一致するものを見つけた後、NPUはそのセッションを管理するSPUにパケットを転送します。

図5は、高速パス処理を示しています。これは、関連するパケットに対してフローがすでに確立されている場合にパケットがたどるパスです。(これは、パケットが開始したフローのセッションが設定された後に、フローの最初のパケットがたどるパスでもあります。)パケットがデバイスに入ると、NPUはセッションテーブルでパケットに一致するものを見つけ、パケットのセッションを管理するSPUにパケットを転送します。パケットは中央点との相互作用をバイパスすることに注意してください。

高速パス処理について

次のセクションでは、セッションの作成方法と、パケットがデバイスを通過するプロセスについて説明します。

図5:高速パス処理

ここでは、パケットのセッションを設定し、SRX5400、SRX5600、SRX5800デバイスを通過する際に個別に、またはフローの一部としてパケットを処理する際に関与する主要コンポーネントの概要を示します。

• ネットワーク処理ユニット(NPU)—NPUはIOC上に存在します。パケットの健全性チェックと一部の画面の適用を処理します。NPU は、セッション テーブルを維持し、受信パケットまたはリバース トラフィックに対してセッションが存在するかどうかを判断するために使用します。

  NPUセッションテーブルには、以前にインターフェイスを介してデバイスに入り、このNPUによって処理されたパケットに対して、セッションがSPUで確立されている場合のセッションのエントリーが含まれます。SPUは、セッションの作成時にNPUテーブルにセッションをインストールします。

  NPU は、パケット情報をセッション テーブルと照合することにより、パケットにセッションが存在するかどうかを判断します。パケットが既存のセッションと一致する場合、NPUはパケットとそのメタデータをSPUに送信します。セッションがない場合、NPUはパケットを1つのSPUに送信します。SPUはハッシュアルゴリズムを使用して計算されます。

• SPU(サービス処理ユニット)—SRX5400、SRX5600、SRX5800デバイスのメインプロセッサはSPCに常駐しています。SPUは、トラフィックフローを確立および管理し、デバイスを通過するパケットのパケット処理のほとんどを実行します。各SPUは、高速セッション検索のためのハッシュテーブルを維持しています。SPUは、ステートレスファイアウォールフィルター、分類子、トラフィックシェーパーをトラフィックに適用します。SPUは、パケットのすべてのフローベースの処理とほとんどのパケットベースの処理を実行します。各マルチコアSPUは、同じSPCまたは異なるSPC上のSPU間の相互作用を最小限に抑えて、独立してパケットを処理します。同じフローに属するすべてのパケットは、同じSPUによって処理されます。

  SPUは、確立したすべてのセッションと、処理するパケットのエントリーを含むセッションテーブルを維持します。SPUがNPUからパケットを受信すると、そのセッションテーブルをチェックして、パケットがそのものであることを確認します。また、分散された中央点からパケットを受信するともセッション テーブルをチェックし、そのパケットのセッションを確立するメッセージを送信して、パケットにセッションが存在しないことを確認します。

• 中央ポイント—中央ポイントアーキテクチャは、アプリケーションの中央ポイントと分散中央ポイントの2つのモジュールに分かれています。アプリケーションの中央点はグローバルなリソース管理とロードバランシングを担当し、分散された中央点はトラフィックの識別(グローバルセッションマッチング)を担当します。アプリケーションのセントラルポイント機能は専用のセントラルポイントSPUで実行され、分散セントラルポイント機能は残りのSPUに分散されます。これで、中央ポイントセッションは専用の中央ポイントSPUではなく、他のフローSPU上の分散中央ポイントと共に行われます。

• ルーティングエンジン—ルーティングエンジンがコントロールプレーンを実行します。

ユニキャスト セッションのデータ パスについて

このセクションでは、デバイスを通過するフローに属するパケットのセッションを確立するプロセスについて説明します。

フロー内のパケットにサービスが適用されるポイントを含め、セッションの確立とパケットの「ウォーク」を説明するために、この例ではユニキャストセッションの単純なケースを使用します。

このパケットの「ウォーク」は、Junos OSがパケットに対して実行するパケットベースの処理とフローベースの処理をまとめたものです。

• セッションルックアップとパケット一致基準
• セッション作成について:初回パケット処理
• 高速パス処理について

セッション作成について:初回パケット処理

このセクションでは、フローを構成するパケットを処理するためにセッションを設定する方法について説明します。このプロセスを説明するために、このセクションでは、ソース「a」と宛先「b」を持つ例を使用します。フローのパケットの送信元から宛先への方向は、(a ->b)と呼ばれます。宛先から送信元までの方向は、(b->a)と呼ばれます。

ステップ1.パケットがデバイス上のインターフェイスに到着し、NPUがそれを処理します。

このセクションでは、パケットがSRXシリーズファイアウォールイングレスIOCに到着したときにどのように処理されるかについて説明します。

1. パケットはデバイスのIOCに到着し、IOC上のNPUによって処理されます。

2. NPU は、パケットに対して基本的なサニティー チェックを実行し、インターフェイスに設定された一部の画面をパケットに適用します。

3. NPU は、パケットの既存のセッションがないかセッション テーブルをチェックします。(パケットのタプルを、セッションテーブル内の既存のセッションのパケットのタプルと照合します。)

   1. 既存のセッションが見つからない場合、NPUはパケットをハッシュSPUに転送します。

   2. セッションに一致するものが見つかった場合、そのセッションは割り当てられたSPUですでに作成されているため、NPUはセッションIDとともにパケットをSPUに転送して処理します。

Example: パケット(a ->b)はNPU1に到着します。NPU1 はサニティー チェックを実行し、パケットに DoS 画面を適用します。NPU1 は、セッションテーブルでタプルの一致を確認し、既存のセッションが見つかりません。NPU1 はパケットを SPU に転送します。

ステップ 2.分散された中央点は、「保留中」状態のセッションを作成します。

NPUがパケットを受信すると、NPUはハッシュアルゴリズムに基づいて分散された中央点にパケットを送信します。次に、分散中央点が分散中央点セッションテーブルを検索し、必要に応じてエントリーを作成します。

このプロセスには、次の部分が含まれます。

1. 分散された中央点は、セッションテーブルをチェックして、NPU から受信したパケットに対してセッションが存在するかどうかを判断します。(NPUは、パケットの既存のセッションが見つからないため、パケットを分散された中央点に転送します)

2. 分散中央点セッションテーブルにパケットと一致するエントリーがない場合、分散中央点はセッションの保留中のウィングを作成します。次に、分散された中央点がアプリケーション中央点にクエリメッセージを送信して、セッションに使用するSPUを選択します。

3. クエリメッセージを受信すると、アプリケーション中央ポイントはゲートテーブルをチェックして、パケットにゲートが存在するかどうかを判断します。ゲートが一致するか、他のセッション配信アルゴリズムがトリガーされた場合、アプリケーション中央点はパケットを処理する別のSPUを選択します。それ以外の場合は、SPU(つまり分散中央点SPU)が選択されます。最後に、アプリケーションの中央点は、分散された中央点にクエリ応答を送信します。

4. クエリー応答を受信すると、分散された中央点は、パケットフローに使用するセッションをローカルに設定するようにSPUに指示するメッセージで、フローの最初のパケットを選択したパケットフローに転送します。例えば、分散された中央点は、セッションの保留中のウィング(a ->b)を作成します。アプリケーションの中央点は、それに使用するSPU1を選択します。分散された中央点は、分散された中央点のセッションを作成するためのメッセージとともに、(a->b)パケットをSPU1に送信します。

Example: 分散された中央点は、セッションの保留中のウィング(a ->b)を作成します。使用するSPU1を選択します。SPU1に(a->b)パケットを、セッションを作成するためのメッセージとともに送信します。

ステップ 3.SPUがセッションを設定します。

各SPUにも、セッションに関する情報を含むセッションテーブルがあります。SPUは、分散された中央点からセッションを設定するメッセージを受信すると、セッションテーブルをチェックして、パケットにセッションがまだ存在しないことを確認します。

1. パケットに既存のセッションがない場合、SPUはセッションをローカルで設定します。

2. SPUは、セッションをインストールするように指示するメッセージを分散された中央点に送信します。

   注:

   最初のパケット処理中に、NATが有効になっている場合、SPUはNATにIPアドレスリソースを割り当てます。この場合、NAT割り当てプロセスが完了するまで、セッションの最初のパケット処理は中断されます。

SPUは、セッションがインストールされるまで受信する可能性のあるフローの追加パケットをキューに追加します。

Example: SPU1 は、(a ->b) のセッションを作成し、保留中のセッションをインストールするように指示するメッセージを分散中央ポイントに送り返します。

ステップ 4.分散された中央点がセッションをインストールします。

分散された中央点は、SPUからインストールメッセージを受信します。

1. 分散された中央点は、セッションの保留中のウィングの状態をアクティブに設定します。

2. 分散された中央点は、セッションのリバース ウィングをアクティブ ウィングとしてインストールします。

   注:

   NAT などの一部のケースでは、リバース ウィングをイニット ウィングの分散中心点とは異なる分散中心点に設置する場合があります。

3. セッションがインストールされていることを示す確認(ACK)メッセージをSPUに送信します。

Example: 分散された中央点は、SPU1から(a->b)ウィングのセッションをインストールするためのメッセージを受信します。(a->b)ウィングのセッション状態をアクティブに設定します。セッション用のリバースウィング(b->a)を取り付けてアクティブにします。これにより、フローの逆方向、つまり宛先(B)を送信元(A)に配信するパケットの配信が可能になります。

ステップ 5.SPUは、イングレスおよびエグレスNPUでセッションを設定します。

NPU は、パケット転送と配信のためにセッションに関する情報を維持します。セッション情報は、エグレスとイングレスのNPU(同じ場合もあります)に設定され、パケットをリダイレクトのための分散された中央ポイントではなく、フローを管理するSPUに直接送信できるようにします。

ステップ 6.高速パス処理が行われます。

パケット処理の残りのステップについては、「 高速パス処理について」のステップ1に進んでください。

図6は、フローの最初のパケットがデバイスに到達した後に行うプロセスの最初の部分を示しています。この時点で、パケットとそのフローに属する残りのパケットを処理するセッションが設定されます。その後、それとフロー内の残りのパケットは高速パス処理を受けます。

図6:セッション作成:最初のパケット処理

高速パス処理について

すべてのパケットは高速パス処理を受けます。ただし、パケットにセッションが存在する場合、パケットは高速パス処理を受け、最初のパケットプロセスをバイパスします。パケットのフローのセッションがすでに存在する場合、パケットは中央点を通過しません。

高速パス処理の仕組みは次のとおりです。 エグレスおよびイングレスインターフェイスのNPUには、パケットのフローを管理するSPUの識別を含むセッションテーブルが含まれています。NPU にはこのセッション情報があるため、リバース トラフィックを含むすべてのフローのトラフィックは、処理のためにその SPU に直接送信されます。

このセクションでは、高速パス プロセスを説明するために、ソース "a" と宛先 "b" の例を使用します。フローのパケットの送信元から宛先への方向は、(a->b)と呼ばれます。宛先から送信元までの方向は、(b->a)と呼ばれます。

ステップ1.パケットがデバイスに到着し、NPU がそれを処理します。

このセクションでは、パケットがサービスゲートウェイのIOCに到着したときにどのように処理されるかについて説明します。

1. パケットはデバイスのIOCに到着し、カード上のNPUによって処理されます。

   NPUはサニティーチェックを実行し、サービス拒否(DoS)画面など一部の画面をパケットに適用します。

2. NPU は、パケットが一致するセッション テーブル内の既存セッションのエントリーを識別します。

3. NPUは、セッションIDやパケットタプル情報などのセッションテーブルのメタデータとともに、フローのセッションを管理し、ステートレスファイアウォールフィルターやCoS機能をパケットに適用し、パケットのフロー処理とセキュリティなどの機能の適用を処理するSPUにパケットを転送します。

Example: パケット(a ->b)はNPU1に到着します。NPU1 はパケットに対してサニティー チェックを実行し、パケットに DoS 画面を適用して、セッション テーブルでタプルの一致をチェックします。一致するものを見つけ、SPU1上のパケットにセッションが存在することを確認します。NPU1 は、処理のためにパケットを SPU1 に転送します。

ステップ 2.セッションのSPUがパケットを処理します。

パケットの処理の大部分は、そのセッションが割り当てられているSPUで行われます。パケットは、ステートレスファイアウォールフィルター、トラフィックシェーパー、分類子(該当する場合)などのパケットベースの機能のために処理されます。設定されたフローベースのセキュリティおよびファイアウォール機能、NAT、ALGなどの関連サービスがパケットに適用されます。(セッションのセキュリティサービスを決定する方法については。

1. パケットを処理する前に、SPUはセッションテーブルをチェックして、パケットがいずれかのセッションに属していることを確認します。

2. SPUは、該当する機能とサービスのパケットを処理します。

Example: SPU1は、NPU1からパケット(a->b)を受信します。SPU1 は、セッション テーブルをチェックして、パケットがいずれかのセッションに属していることを確認します。次に、入力フィルターと入力インターフェイスに適用されるCoS機能に従ってパケット(a ->b)を処理します。SPUは、ゾーンとポリシーに基づいて、パケットのフローに設定されたセキュリティ機能とサービスをSPUに適用します。設定されている場合は、出力フィルター、トラフィックシェーパー、追加の画面がパケットに適用されます。

ステップ 3.SPUはパケットをNPUに転送します。

1. SPUはパケットをNPUに転送します。

2. NPU は、インターフェイスに関連付けられた適用可能なすべての画面をパケットに適用します。

Example: SPU1はパケット(a ->b)をNPU2に転送し、NPU2はDoS画面に適用します。

ステップ 4.インターフェイスは、デバイスからパケットを送信します。

Example: インターフェイスは、デバイスからパケット(a->b)を送信します。

ステップ 5.リバーストラフィックパケットがエグレスインターフェイスに到着し、NPUがそれを処理します。

このステップは、ステップ1をまったく逆に反映しています。詳細については、このセクションのステップ1を参照してください。

Example: パケット(b->a)はNPU2に到着します。NPU2 は、セッションテーブルでタプルが一致するかどうかをチェックします。一致するものを見つけ、SPU1上のパケットにセッションが存在することを確認します。NPU2 は、処理のためにパケットを SPU1 に転送します。

ステップ 6.セッションのSPUは、リバーストラフィックパケットを処理します。

このステップは、リバーストラフィックに適用される点を除けばステップ2と同じです。詳細については、このセクションのステップ2を参照してください。

Example: SPU1は、NPU2からパケット(b->a)を受信します。セッションテーブルをチェックして、パケットがNPU2によって識別されるセッションに属していることを確認します。次に、NPU1のインターフェイス用に設定されたパケットベースの機能をパケットに適用します。パケット(b->a)は、ゾーンとポリシーに基づいて、フローに設定されたセキュリティ機能やその他のサービスに従って処理します。

ステップ 7.SPUは、リバーストラフィックパケットをNPUに転送します。

このステップは、リバーストラフィックに適用されることを除けばステップ3と同じです。詳細については、このセクションのステップ3を参照してください。

Example: SPU1は、パケット(b->a)をNPU1に転送します。NPU1 は、インターフェイスに設定されたすべての画面を処理します。

8. インターフェイスは、デバイスからパケットを送信します。

このステップは、リバーストラフィックに適用されることを除けばステップ4と同じです。詳細については、このセクションのステップ4を参照してください。

例:インターフェイスは、デバイスからパケット(b->a)を送信します。

図7は、パケットがデバイスに到達し、パケットが属するフローに対してセッションが存在するときに通過するプロセスを示しています。

図7:高速パス処理のためのパケットウォーク

サービス処理ユニットについて

特定の物理インターフェイスについて、SPUは、物理インターフェイスに関連付けられたネットワークプロセッサバンドル内のすべてのネットワークプロセッサからイングレスパケットを受信します。SPUは、物理インターフェイスからネットワークプロセッサバンドル情報を抽出し、同じ5タプルハッシュアルゴリズムを使用してフローをネットワークプロセッサインデックスにマッピングします。ネットワークプロセッサを特定するために、SPUはネットワークプロセッサバンドル内のネットワークプロセッサインデックスを検索します。SPUは、外部トラフィック用に物理インターフェイスのローカルPIM(物理インターフェイスモジュール)にエグレスパケットを送信します。

スケジューラの特性について

SRX5400、SRX5600、SRX5800デバイスの場合、IOCは以下の階層スケジューラ特性をサポートします。

• IFL – ネットワークプロセッサバンドルの設定は、物理インターフェイスのデータ構造に保存されます。例えば、SRX5400、SRX5600、SRX5800デバイスのPIMは最大48個です。物理インターフェイスは、48ビットビットマスクを使用してPIMを示すことができます。または、この物理インターフェイスからのネットワークプロセッサトラフィックは、物理インターフェイスのプライマリネットワークプロセッサに加えて分散されます。

  SRX5000シリーズのデバイスでは、iflset機能は rethなどの集約型インターフェイスではサポートされていません。

• IFD – ネットワークプロセッサバンドルの物理インターフェイスに関連付けられた 論理インターフェイス は、ネットワークプロセッサバンドル内にPIMを持つすべてのIOCに渡されます。

ネットワークプロセッサのバンドリングについて

ネットワークプロセッサのバンドリング機能は、SRX5000シリーズのデバイスで使用できます。この機能により、パケット処理のために、1つのインターフェイスから複数のネットワークプロセッサにデータトラフィックを配信できます。プライマリネットワークプロセッサは、イングレストラフィックを受信し、他のいくつかのセカンダリネットワークプロセッサにパケットを配信するインターフェイスに割り当てられます。単一のネットワークプロセッサは、プライマリネットワークプロセッサとして動作することも、複数のインターフェイスに対するセカンダリネットワークプロセッサとして動作することもできます。1つのネットワークプロセッサは、1つのネットワークプロセッサバンドルにのみ参加できます。

概要

SRX5400、SRX5600、およびSRX5800デバイス上のSRX5K-MPC(IOC2)、SRX5K-MPC3-100G10G(IOC3)、SRX5K-MPC3-40G10G(IOC3)は、セッションキャッシュとセッションキャッシュの選択的インストールをサポートしています。

セッションキャッシュは、IOC上のネットワークプロセッサ(NP)とSPU間の会話をキャッシュするために使用されます。会話は、セッション、GTP-U トンネル トラフィック、IPsec VPN トンネル トラフィックなどです。会話には2つのセッションキャッシュエントリがあり、1つは受信トラフィック用、もう1つはリバーストラフィック用です。トラフィックのイングレスポートとエグレスポートの場所に応じて、2つのエントリーが同じネットワークプロセッサに存在するか、異なるネットワークプロセッサに存在する場合があります。IOCは、IPv6セッションのセッションキャッシュをサポートします。

セッションキャッシュエントリは、 セッションウィングとも呼ばれます。

IOCのセッションキャッシュは、Express Path(以前は サービスオフローディングと呼ばれていました)機能を活用して、高遅延やIPsecパフォーマンスの低下などの問題を防ぐのに役立ちます。

セッションキャッシュエントリーは以下を記録します。

• 変換のトラフィックをどのSPUに転送する必要があるか

• Express Pathモードで、変換のトラフィックをどの出口ポートに転送する必要があるか

• Express PathモードでのNAT変換など、エグレストラフィックに対して行う処理

その他のトラフィックは、5タプルの鍵情報に基づいてSPUにハッシュされました。VPN トラフィックにはアンカー SPU の概念が採用されていましたが、これは必ずしもフロー SPU の機能と一致するわけではありませんでした。ネットワークプロセッサは、5タプルハッシュに基づいて、フローSPUにパケットを転送することしかできませんでした。その後、フローSPUはパケットをアンカーされたSPUに転送しました。これにより、VPNトラフィックに余分なホップが生じ、スイッチファブリック帯域幅を浪費し、VPNススループットを約半分に低下させました。このパフォーマンスの低下は、アンカーされたSPUで処理した後も、トラフィックがフローSPUに戻る必要があったために発生しました。

セッションキャッシュテーブルが、NPセッションをサポートするためにIOCで拡張されるようになりました。Express Path トラフィックと NP トラフィックは、IOC 上で同じセッションキャッシュテーブルを共有します。Express Path トラフィックは、SPU からのサービスを必要としないため、IOC 自体によってローカルまたは別の IOC に転送されます。NPトラフィックは、さらなる処理のためにセッションキャッシュで指定されたSPUに転送されます。すべてのセッションキャッシュエントリは、Express PathセッショントラフィックとNPトラフィックの両方で共有されます。

IOCでセッションキャッシュを有効にするには、 set chassis fpc <fpc-slot> np-cache コマンドを実行する必要があります。

選択的セッションキャッシュのインストール

高い遅延を回避し、IPSec のパフォーマンスを向上させ、貴重なリソースをより有効に活用するために、フロー モジュールと IOC の両方に特定の優先メカニズムが適用されます。

IOCは、セッションキャッシュ使用しきい値レベルを維持および監視します。また、IOCはセッションキャッシュの使用状況をSPUに通知するため、特定のセッションキャッシュ使用量のしきい値に達した場合、SPUは選択的で優先度の高いトラフィックセッションに対してのみセッションキャッシュインストール要求を送信します。

IDP、ALGなどのアプリケーションは、パケットを順番に処理する必要があります。1つのSPUには、1つのセッションに属するパケット、ロードバランシングスレッド(LBT)、およびパケット順序スレッド(POT)パケット順序を処理する複数のフロースレッドがあり、トラフィックが順番にファイアウォールを通過するようにすることができますが、アプリケーションが同じセッションに属するパケットを順番に処理することを保証することはできません。フローシリアル化は、一度に1つのSPUフロースレッド処理パケットのみが同じセッションに属するようにするため、アプリケーションはパケットを順番に受信、処理、送信できます。他のフロースレッドは、他のセッションのフローシリアル化処理を同時に実行できます。

IOCにセッションキャッシュをインストールできるトラフィックのタイプを決定するには、次の4つの優先度レベルを使用します。

• Priority 1 (P1)— IPSecおよびExpress Path適格なトラフィック

• Priority 2 (P2)— フラグメント化順序付け

• Priority 3 (P3)— NAT/SZ(セッションシリアル化)トラフィックトラフィック

• Priority 4(P3)— その他のすべてのタイプのトラフィック

IOCは、セッションキャッシュ使用量のしきい値レベルを維持および監視し、現在のリアルタイムセッションキャッシュ使用量をSPUに更新します。SPUは、特定の優先度の高いトラフィックセッション用のセッションキャッシュをインストールするようIOCに要求します。優先度の高いトラフィックセッションのセッションキャッシュ使用量を表に示します。

IOC のセッション エントリーを保存するために、フロー モジュールは IOC にセッションを選択的にインストールします。セッション インストールの選択を容易にするために、IOC は対応するしきい値を維持し、(IOC 上のセッション キャッシュ テーブルがどれだけいっぱいであるかについて)フロー モジュールに表示します。メタヘッダーに2ビットが追加され、現在のキャッシュテーブルの使用状況を示します。SPUに送信されるすべてのパケットは、これら2つのステータスビットを伝送し、IOC上のキャッシュテーブルの使用状況をフローモジュールに通知します。

セッションキャッシュを使用したIPsec VPNセッションアフィニティの強化

SRXシリーズファイアウォールは完全に分散されたシステムであり、IPsecトンネルが割り当てられ、特定のSPUに固定されます。IPsecトンネルに属するすべてのトラフィックは、トンネルアンカーSPUで暗号化および復号化されます。IPsecパフォーマンスを向上させるために、IOCはフローモジュールを改善して、トンネルアンカーSPUでIPsec トンネルベースのトラフィックのセッション(暗号化前と復号化後)を作成し、セッション用のセッションキャッシュをインストールして、IOCがパケットを同じSPUに直接リダイレクトできるようにして、パケット転送のオーバーヘッドを最小限に抑えることができます。Express Path トラフィックと NP トラフィックは、IOC 上で同じセッションキャッシュテーブルを共有します。

IOCでセッションキャッシュを有効にし、セキュリティポリシーを設定して、選択したフレキシブルPICコンセントレータ(FPC)でセッションがExpress Path(以前は サービスオフロードと呼ばれていました)モード用かどうかを判断する必要があります。

IPsec VPNアフィニティを有効にするには、 set security flow load-distribution session-affinity ipsec コマンドを使用します。

NPセッションキャッシュを使用したフラグメント化パケットの順序付け

セッションは、通常のパケットとフラグメント化されたパケットの両方で構成される場合があります。ハッシュベースの配信では、5 タプル鍵と 3 タプル鍵を使用して、通常のパケットとフラグメント化されたパケットをそれぞれ異なる SPU に配信できます。SRXシリーズファイアウォールでは、セッションのすべてのパケットが処理SPUに転送されます。転送と処理の遅延により、処理SPUがセッションのパケット順序を保証しない場合があります。

IOCのセッションキャッシュは、フラグメントパケットを含むセッションのパケットの順序を確実に決定します。セッションキャッシュエントリは、セッションの通常のパケットに割り当てられ、3タプルキーを使用してフラグメントパケットを検索します。セッションの最初のフラグメントパケットを受信すると、フローモジュールにより、IOCはセッションキャッシュエントリを更新して、SPUのフラグメントパケットを記憶できます。その後、IOCはセッションの後続のすべてのパケットをSPUに転送し、フラグメントパケットを含むセッションのパケットの順序を確認します。